Controlsページの見方

Drataでは、フレームワークの要求事項に対応するコントロールをControlsページでまとめて管理します。コントロールごとに、マッピングされた要求事項、テスト、証跡、ポリシー、リスクが結び付いており、準備状況の確認から是正の作業まで、ほとんどの操作をこのページから始めます。このページでは、Controlsページの見方として、一覧の列とフィルター、コントロールの詳細の画面の構成、マッピングされた要求事項とテストと証跡の確認方法、日々の点検の進め方を説明します。

Controlsページを開く

Compliance → Controlsを開くと、ワークスペースの全てのコントロールが一覧で表示されます。一覧には、Drataが用意するDCFのコントロール（DCF-xxのコード）と、自社で作ったカスタムコントロールの両方が並びます。

Controlsページの一覧。左側でStatus、Framework、Readinessなどの条件を指定して絞り込み、上部の検索欄でコントロールを探す

ページは、次の要素で構成されます。

要素	内容
フィルターの領域（左側）	範囲、フレームワーク、準備状況などの条件で一覧を絞り込む。Filtersで表示を切り替え、Clear all filtersで条件を全て外す
検索欄	コントロールの名前、説明、コード、要求事項で探す
Download	一覧をCSVファイルに書き出す。コントロールオーナーはControl Ownersの列に入る
Create control	コントロールを1つ作る（Create a single control）か、ファイルからまとめて作成、更新する（Create/Update in bulk）
一覧の表	コントロールごとに1行で、主な項目が並ぶ

一覧の列

一覧の表には、次の列が並びます。列の並べ替えや固定などの表の操作は、ほかのページの一覧と共通です（New Experienceの画面構成を参照）。

列	内容
Control code	コントロールのコード。準備完了かどうかを示すアイコンとともに表示される
Name	コントロールの名前
Owners	コントロールオーナー
Frameworks	コントロールがマッピングされたフレームワーク。数が多い場合は「+数字」でまとめて表示される

フィルター

左側のフィルターの領域では、次のような条件で一覧を絞り込めます。指定した条件は、一覧の上にFilters appliedとして並び、個別に外せます。

フィルター	絞り込める内容
Status	対象（In scope）か、対象外（Out of scope）か
Framework	特定のフレームワークにマッピングされたコントロール
Readiness	準備完了（Ready）か、準備未完了（Not ready）か
Monitoring	テストによるモニタリングの状況
Required approvals	承認の段階（Prepare for approvers、Needs approval、Changes requested、Approved）、承認の設定がないコントロール（No approvals assigned）
コントロールオーナー	オーナーが割り当てられたコントロール（Owners assigned）、特定のコントロールオーナーのコントロール
承認者	承認者が割り当てられていないコントロール（No approvers assigned）

まとめて操作する

一覧の行のチェックボックスを選ぶと、画面の下に操作のバーが表示され、選んだコントロールをまとめて操作できます。表示されている行を全て選んだうえで、Select allで絞り込みの結果の全てを選ぶこともできます。

操作	内容	詳しい説明
対象外（Out of Scope）、対象（In Scope）への切り替え	対象外にする、対象に戻す	対象と対象外の管理
Assign/remove control owners	コントロールオーナーを割り当てる、外す	コントロールオーナーと承認
Add approvals、Delete approvals	承認を必須にする設定を加える、削除する	コントロールオーナーと承認
Recommend objects	カスタムコントロールにマッピングする要求事項、テスト、ポリシーなどをAIで提案させる	コントロールの一括インポート

コントロールの詳細の画面

一覧でコントロールを選ぶと、詳細の画面が開きます。画面の上部にコードと名前が表示され、その下に進み具合（Progress）、コントロールオーナー（Owner）、マッピングされたフレームワーク（Frameworks）が並びます。オーナーとフレームワークは、横の鉛筆のアイコンから変えられます。その下に7つのタブが並びます。

コントロールの詳細の画面。上部にコード、名前、オーナー、フレームワークが並び、Overviewタブに準備状況のカード、Info、Owners、Review and approvalの欄がある

タブ	内容	主な操作
Overview	準備状況の要約と、コントロールの基本の情報	準備状況の確認、名前と説明の編集、オーナーの割り当て、承認の設定
Evidence	コントロールにマッピングされた証跡。名前、状態（Status）、取得元（Source）、オーナーなどが並ぶ	Add evidenceでの証跡の追加、マッピングの解除、Downloadでの証跡のダウンロード
Monitoring	コントロールにマッピングされたモニタリングテスト	テストの結果の確認、Map testsでのテストのマッピングの追加と解除
Policies	コントロールにマッピングされたポリシー	Map policiesでのポリシーのマッピングの追加と解除
Frameworks	コントロールにマッピングされた全てのフレームワークの要求事項	マッピングされた要求事項の確認、要求事項の追加のマッピング
Risks	コントロールに結び付いたリスク	―

準備状況に問題がある項目があるタブには、タブ名の横に赤い数字が表示されます。どこから手を付けるかの目安になります。

Overviewタブ

Overviewタブは、コントロールの状態を最初に確かめる場所です。

欄	内容
準備状況のカード	証跡（Evidence）、テスト（Monitoring）、ポリシー（Policies）、承認（Approvals）のそれぞれが、準備状況にどう効いているかを示す。カードを選ぶと詳しい内容が開く
Info	コントロールの名前、コード、説明などの詳細。Editから変えられる
Owners	コントロールオーナー。Assignから割り当てたり外したりする
Review and approval	承認を必須にする設定と、承認の段階

準備状況のカードの読み方は、コントロールの準備状況で説明します。名前や説明の編集はコントロールの編集と追加、オーナーと承認はコントロールオーナーと承認で説明します。

ユーティリティーバー

詳細の画面の右側には、ユーティリティーバーがあります。右端の矢印（»）を選ぶと開き、コントロールについて次の作業ができます。

機能	内容
Notes	チームで共有するメモ（Internal notes）を追加、編集、削除する
Tickets	課題管理ツールと連携している場合に、コントロールからチケットを作る
Tasks	コントロールに関係するタスクを作る

メモの追加などの注記の操作ができるのは、AdminとInformation Security Leadのロールのユーザーです。承認者が修正を求めたときの依頼の内容も、メモに記録されます。

マッピングされた要求事項、テスト、証跡を確かめる

コントロールが何を根拠に、どのように実施されているかは、詳細の画面のタブで確かめます。

要求事項

Frameworksタブに、コントロールがマッピングされた全てのフレームワークの要求事項が並びます。フレームワークの要求事項を追加でマッピングすることもできます。コントロールは、対象の要求事項の少なくとも1つにマッピングされていなければ、準備完了になりません。要求事項とコントロールの対応の考え方は、要求事項とコントロールの関係で説明しています。

テスト

Monitoringタブに、マッピングされたモニタリングテストと、成功・失敗の履歴が並びます。テストを選ぶと、テストの詳細の画面が開きます。

テストを追加でマッピングするには、Map testsを選び、テストを探して選んで保存します。マッピングを外すには、テストの横の「…」から外します。マッピングされたテストだけが、コントロールとフレームワークの準備状況に影響します。マッピングを外したテストは、結果は見られますが、準備状況には影響しません。テストのマッピングを変えられるのは、Admin、Information Security Lead、Workspace Manager、Control Managerのロールのユーザーです。

証跡

Evidenceタブに、マッピングされた証跡が並びます。Add evidenceを選び、Evidenceページにある証跡から選ぶ（Map from Evidence Library）か、Evidenceページに新しい証跡を作る（Create new evidence）か、このコントロールだけに付けるその他の証跡（Miscellaneous evidence）としてファイルやURLを追加します。ファイルやURLを追加するときは、作成日と更新期限を入れます。更新期限は準備状況に影響します。

複数のコントロールで使う書類は、Evidenceページの証跡としてマッピングしてください。証跡のマッピングの方法は、証跡とコントロールのマッピングで説明します。

ポリシー

Policiesタブに、マッピングされたポリシーが並びます。Map policiesから既存のポリシーを選んでマッピングするほか、画面から新しいポリシーを作ることもできます。Drataのポリシーテンプレートから作ったポリシーは、関係するコントロールに自動でマッピングされます。マッピングはいつでも外せます。

日々の点検の進め方

Controlsページは、コントロールオーナーが日々の作業を始める場所でもあります。ヘルプセンターがコントロールオーナー向けに勧めている最初の作業をもとに、次の流れで点検します。

1. Controlsページで、コントロールオーナーで絞り込み、自分が担当するコントロールの一覧を出します。
2. Readinessで準備未完了（Not ready）に絞り込み、対応が必要なコントロールを確かめます。
3. 各コントロールの詳細の画面で、マッピングされた要求事項、ポリシー、テスト、証跡を確かめ、説明、範囲、オーナーが実態に合っているかを確かめます。
4. Monitoringタブで、失敗（Failing）やエラー（Error）のテストを確かめ、是正や除外の扱いを管理者と相談します。
5. Tasksで、コントロールに関係する作業や証跡の更新のうち、自分に割り当てられたものを優先して片付けます。

【運用のポイント】 GRCの担当者は、Statusを対象（In scope）、Readinessを準備未完了（Not ready）に絞り込み、さらにFrameworkで監査を控えたフレームワークを指定すると、優先して手を付けるべきコントロールを絞り込めます。承認者が割り当てられていないコントロール（No approvers assigned）も、フィルターで定期的に洗い出しておくと、承認の漏れを防げます。

組織全体の状況は、ダッシュボードで把握できます。ダッシュボードで状況を把握するを参照してください。失敗したテストの直し方は失敗したテストの是正、タスクの扱いはタスクの管理で説明します。